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(57) Abstract 

The invention concerns 5 7 

a device for protecting 
portable storage mediums 
used as data carriers 

(1) against unauthorised 
use of data and/or for 
similarly protecting an 
interactive device (5) which 
communicates with the data 
carrier. The data carrier (1) 
is physically coupled (3) to 
at least one security module 

(2) . The security module (2) 
and interactive device (5), as 
integral parts of the protective 
device, co-operate in such a 
way that a user's access to 
the data carrier (I) and/or 
the interactive device (5) in 
a way useful is conditional 
on an exchange of mutually 
co-ordinated data between the 
security module (2) and interactive device (5). 
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(57) 7iT<ammPfifg«gnmg 

Die Erfindung betrifft einc Vonichtung zum Schutz von transpoitablen Speichermedien ais Datentr4ger (1) gegen uneriaubte 
Datennutzung und/oder zum Schutz siner mic dem Datencrlger kommunizieicnden InteraJctionseinhchtung (5) gegen uneriaubce Nutzung. 
Der Datentrager (1) 1st mit mindestens einem Sicherheitsmodul (2) physikaJisch geicoppelt (3). Der Sicherheitsmodul (2) und die 
foteraktioiiseinrichtung (5) ais Bestandteile der Schutzvorrichtung wiricen derart zusaramen, da6 nur in Abhangigkeit eines Austausches 
von aufeinander abgesrimmten Informarionen zwischen detn Sicherheitsmodul (2) und der mteraJcnonseinhchmng (5) auf den Datentrtger 
(1) und/oder auf die Interaktionseiniichtung (5) in einer fur einen Benutzer auswertbaren Form zugreifbar ist. 
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Beschreibung 

Schutzvorrichtung fur Datentrager und damit zusammenwirkande 
Intaraktionseinrichtung gegen uneriaubte Nutzung 

. Werden Informationen auf einen Datentrager geschrieben, so sind zur Realisierung der 
Unversehrtheit (Datenintegritat), Vertraulichkeit, Authentizitat, Originality und sonstiger 
Sicherheitsfunktionalltaten, wie beispieisweise der Personalisierung von Daten und der 
Identifikation des Datentragers selbst bestimmte Mechanismen erforderiich. Zudem 
muG oft der Aspekt eines wie auch immer gearteten Datenschutzes beriicksichtigt wer- 
den. Einige der bisher bekannten Anwendungen liegen im Bereich des Softwareschut- 
zes (z.B. Kopieren, unautorisierte Nutzung. Virenschutz). des Transportschutzes 
(Vertraulichkeit. Authentizitat. sichere SchlusselhaKung) und der eindeutigen Zuord- 
nung von Daten bzw. Datentragem zq Personen und/oder zu Geraten 
(Personalisierung. gegenseitige Authentifikation). 

Durch kiassische Datentrager alleine sind die aufgefuhrten Anwendungen nicht mit der 
erforderiichen Sicherheit zu realisieren. 

Aus DE 44 19 1 15 A1 ist es bekannt. zum Schutz einer Software vor unautorisierter 
Benutzung eine Chipkarte in Verbindung mit einer Chipkarten-Lesevorrichtung und ei- 
nem Prufprogramm einzusetzen. Die spezielle Ausgestaltung der Lesevorrichtung und 
deren physikaiische und logische Kopplung mit einem Rechnersystem sind jedoch re- 
gelmSSig mit einem hohen Aufwand verbunden. AuBerdem sind weitere Bauteile und 
physikaiische Verbindungen notwendig, um die Kommunikation zwischen den Lesevor- 
richtungen der Chipkarte und der Software herzustellen. Diese Kommunikationsverbin- 
dungen sind jedoch anfailig gegen ein unerlaubtes Anzapfen der Sicherheifsinformatio- 
nen. 

Der Erfindung liegt die Aufgabe zugrunde. mit geringem Aufwand eine groGe Sicherheit 
von Datentragem und damit zusammenwirkenden Kommunikationseinrichtungen ge- 
gen uneriaubte Nutzung zu gewahrleisten. 

Diese Aufgabe wird durch die Merkmalskombination des Anspruches 1 gelflst. 

Die erfindungsgemaSe Schutzvorrichtung weist einen Sicherheitsmodul und eine mit 
dem Datentrager und dem Sicherheitsmodul zusammenwirkende Interakticnseinrich- 



3NSOOCIO: <WO 9629699A1> 



IS 



20 



25 



35 



WO 96/29699 PCT/EP96/01 175 

-2- 

tung auf. Zwischen dem Sicherheitsmodul und der Interaktionseinrichtung findet ein 
Austausch von Informationen statt. Nur wenn bestimmte, aufeinander abgestimmte in- 
formationen vom Sicherheitsmodul und/odervon der Interaktionseinrichtung gesendet 
Oder empfangen werden, kann ein Benutzer auf die Daten des Datentragers und/oder 
auf die Interaktionseinrichtung in einer fur inn auswertbaren Form zugreifen. 

Durch den Austausch von aufeinander abgestimmten Informationen umfafit die Schutz- 
vorrichtung auch einen Entschlusselungsschutz der auf dem Datentrager abgespeicher- 
ten Daten. So kann bei Nichtvorhandensein des dem Datentrager zugeordneten Si- 
cherheitsmoduls der verschliisselte Dateninhalt des Datentragers zwar in herkommli- 
chen Lesegeraten ausgelesen bzw. kopiert werden, die fur den Benutzer erforderliche 
Entschlusselung des Dateninhalts zu dessen Auswertung findet jedoch bei registriertem 
Fehlen des Sicherheitsmoduls oder registriertem falschen Sicherheitsmodul nicht statt. 
Hierzu ist der aufeinander abgestimmte Informationsaustausch zwischen der Interakti- 
onseinrichtung und dem Sicherheitsmodul notwendig. Analoge Anwendungsfaile sind 
fur das Qberschreiben der Daten des Datentragers moglich. 

Somit ist eine Interpretation bzw. eine Nutzung der Daten in einer fQr den Benutzer 
auswertbaren Form nur mittels eines zugehdrigen Sicherheitsmoduls mdglich. 

Die erfindungsgemaEe Schutzvorrichtung kann auGerdem eine unautorisierte Benut- 
zung der Interaktionseinrichtung selbst oder eines an die Interaktionseinrichtung ange- 
schlossenen Rechnersystems vollstandig oder teilweise verhindem. So versperrt die 
Interaktionseinrichtung einem Benutzer den Zugang zum Rechnersystem bzw. zu auf 
einer Festplatte abgelegten Daten oder zu Funktionen der Interaktionseinrichtung, 
wenn sie keinen oder nicht den richtigen Sicherheitsmodul auf dem Datentrager regi- 
striert. 

Je nach Anwendungsfall wird ein Informationsaustausch vom Sicherheitsmodul oder 
von der Interaktionseinrichtung oder auch von beiden Komponenten kontrolliert. Fur 
unterschiedliche Sicherheitsanforderungen sind also keine unterschiedlichen Losungs- 
konzepte erforderlich. Vielmehr konnen unterschiedliche Sicherheitsanforderungen 
durch das erfindungsgema&e Gesamtsystem verwirklicht werden. Abhangig vom jewei- 
ligen Einsatzumfeld konnen die geforderten Sicherheitsmechanismen frei konfiguriert 
werden. Insbesondere konnen die eingangs genannten Anforderungen an Datentrager 
bzw. an den Datenzugriff reaiisiert werden. 
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Das vorgenannte Gesamtsystem ist gewissermafien ein hybrides Gesamtsystem, wel- 
ches durch hybride Datentrager und hybride Interaktionseinrichtungen gebildet ist. 
Beim hybriden Datentrager handelt es sich um ein transportables Speichermedium als 
Datentrager mit magnetischer, optischer oder sonstiger Datenspeicherfahigkeit, wie sie 
z.B. als Diskette, CD-ROM, optische Karte und Halbieiterspeicher bekannt sind'. Der 
Sicherheitsmodul, der den Datentrager zu einem hybriden Datentrager erganzt, ist ein 
verarbeitendes und/oder kommunizierendes Bauelement, welches nach festen oder 
ladbaren Regeln bzw. Algorithmen eine definierte Reaktion im Sicherheitsmodul selbst 
und/oder in der Interaktionseinrichtung erzeugt. Der Sicherheitsmodul istz.B. als Spei- 
cher (mit oder ohne Sicherheitslogik), als Mikroprozessor, Mikrocontroller. Kryptopro- 
zessor oder als Hologramm ausgebildet. 

Der Datentrager kann mehrere, insbesondere auch unterschiedlich ausgebildete Si- 
cherheitsmodule aufweisen. 



Die hybride Interaktionseinrichtung weist auf den hybriden Datentrager abgestimmte 
Schreib-/Lese-Einheiten auf. 



20 Bei dem hybriden Gesamtsystem wirkt der hybride Datentrager mit der hybriden Inter- 
aktionseinrichtung zusammen. Dieses Zusammenwirken wird durch die jeweiligen Si- 
cherheitsanforderungen bestimmt und kann durch Konfiguration der Einzelkomponen- 
ten an die jeweilige Anwendung angepaGt werden. So kann die Sicherheitslogik zur 
Festlegung der Funktion des hybriden Gesamtsystems ehtweder im hybriden Datentra- 

js ger oder in der hybriden Interaktionseinrichtung abgelegt sein. Der hybride Datentrager 
und die Interaktionseinrichtung konnen auch derart zusammenwirken, daC, erst eine 
physikalische und/oder logische Verkniipfung des hybriden Datentragers mit der Inter- 
aktionseinrichtung die Funktion des Gesamtsystems gewShrleistet. 

M Vorteilhaft an dem hybriden Datentrager ist es, daS die raumliche Umri&form des Da- 
tentragers unverandert bleiben kann. so da& herkdmmliche Chassis von Interaktions- 
einrichtungen benutzbar und auch bekannte Bauteiie dieser Interaktionseinrichtungen 
weiter verwendbar sind. Da die Interaktionseinrichtung sowohl mit dem Datentrager als 
auch mit dem Sicherheitsmodul kommuniziert, sind externe Kommunikationsverbindun- 

as gen uberflussig. Auf die Sicherheitsinformationen kann deshalb nicht unautorisiert zu- 
gegriffen werden. 
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Gemafi Anspruch 2 ist die Sicherheit des Datentragers gegen uneriaubten Datenzugriff 
weiter verbessert. Der Sicherheitsmodul ist einem bestimmten Datentrager durch die 
physikalische Koppiung eindeutig zugeordnet. Durch ein unautorisiertes Losen des Si- 
cherheitsmoduls vom Datentrager wird letzterer durch die fesie Oder zumindest schwer 
losbare Koppiung beschadigt der zerstort. Der Datentrager ist deshalb unautorisiert 
nicht weiter verwendbar. 

Die Ma&nahme nach Anspruch 3 verbessert den uneriaubten Benutzungsschutz da- 
durch, dafi der Datentrager und der Sicherheitsmodul erst beim Einsatz bzw. unmittel- 
bar vor dem Einsatz physikalisch gekoppelt werden. So konnen Datentrager und Si- 
cherheitsmodul auf getrennten Transportwegen versendet werden. Erst der Endkunde 
sorgt fur die physikalische Koppiung. 

Anspruch 4 berucksichtigt die physikalisch/konstruktiven Gegebenheiten des Chassis 
einer Interaktionseinrichtung, so dafi das physikalische Zusammenwirken des hybriden 
Datentragers mit herkommlichen Chassis von Interaktionseinrichtungen weiter verein- 
facht ist. 

Gemaa Anspruch 5 wird die zunSchst physikalische Koppiung des Sicherheitsmoduls 
mit dem Datentrager bei der Initialisierung des Sicherheitsmoduls durch eine logische 
Koppiung erganzt. Diese logische Koppiung kann z.B. durch kryptographische Verfah- 
ren erfolgen. 

Die logische Koppiung kann mittels der Interaktionseinrichtung oder durch eine im Da- 
tentrager integrierte logische Koppiung hergestellt werden. 

Die logische Koppiung zwischen Sicherheitsmodul und Datentrager kann vorteiihaft 
auch dazu verwendet werden, die Funktion des hybriden Gesamtsystems festzulegen 
bzw. zu gewahrieisten. Dabei kann der durch die logische Koppiung erzeugte Algorith- 
mus vor dem Datenzugriff durch die Interaktionseinrichtung oder durch den hybriden 
Datentrager selbst gesteuert werden. 

Die logische Koppiung zwischen Datentrager und Sicherheitsmodul ermoglicht eine 
eindeutige, unverwechselbare und sichere Identifikation des Datentragers. Die logische 
Koppiung kann reversibel oder irreversibel sein. Sie wird entweder unmittelbar wahrend 
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der Herstellung des hybriden Datentragers Oder zu einem spflteren Zeitpunkt in diesen 
eingebracht Die nachtragliche Einbringung der logischen Koppiung hat den Vorteil, 
daG der Informationsgehalt des Datentragers ohne eine Initialisierung (z.B. durch 
Schlusseivefgabe) des Sicherheitsmoduls nicht rekonstruiert werden kann. Beispiels- 
weise wird die in Lohnherstellung bereitgestellte Software verschiiisselt auf einer CD 
als Datentrager gepreSt, wShrend der Software-Hersteller selbst den hybriden Daten- 
trager - z.B. durch die Schlusselvergabe - erst zu einem spateren Zeitpunkt aktiviert. 
Erst hierdurch wird der zunachst anonyme Datentrager eindeutig identifizierbar und die 
Daten werden erst dadurch nutzbar, d.h. fur einen Benutzer interpretierbar. 

Anspruch 7 unterstiitzt den Schutz eines Datentragers gegen unautorisierte Datennut- 
zung bzw. -interpretation. Der Sicherheitsmodul gewahrleistet beispielsweise eine irre- 
versible und somit sichere Schlusselhaltung im hybriden Datentrager. 

Anspruch 8 gewahrleistet bei einer autorisierten Nutzung des Datentragers einen ra- 
schen Datenzugriff. Die Operationen der Schreibe-/Lese-Einheiten fQr den hybriden 
Datentrager konnen unabhangig voneinander ausgefuhrt werden. 

Gemafi Anspruch 9 sind die vorgenannten Schreib-/Lese-Einheiten miteinander logisch 
gekoppelt, was eine zusatzliche SicherheitsmaSnahme gegen unautorisierte Nutzung 
des Datentragers bedeutet. So kann z.B. die eine Schreib-/Lese-Einheit in einem ge- 
schiitzten Modus bleiben, wenn die andere Einheit mit keinem Oder nicht mit dem rich- 
tigen Sicherheitsmodul kommuniziert. Die logische Koppiung der Schreib-/Lese- 
Einheiten ist entweder fest vorgegeben (geschlossenes System) oder kann von auBen - 
reversibel Oder irreversibel - eingebracht werden (offenes System). 

GemSG Anspruch 10 ist die Interaktionseinrichtung gewissermalien als zusatzlicher 
Sicherheitsmodul ausgebildet. Bei einer unautorisierten softwaremafiigen oder hardwa- 
remafiigen Manipulation werden entsprechende Steuersignale erzeugt, die eine logi- 
sche Koppiung zwischen den Schreib-/Lese-Einheiten irreversibel zerstdren. 

Nach Anspruch 1 1 ist die Interaktionseinrichtung kompakt und platzsparend aufgebaut, 
wodurch die Montage der gesamten Schutzvorrichtung vereinfacht ist. 

Die Erfindung wird anhand der in den Figuren dargestellten Ausfiihrungsbeispiele na- 
her ertautert. Darin zeigen: 
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Fig.1 einen hybriden Datentrager, 

Fig.2 eine hybride Interaktionseinrichtung, 

Fig.3 die funktioneile Kombination des hybriden Datentragers gemSS Fig.1 mit der 
hybriden Interaktionseinrichtung gemSS Fig.2, 

Fig.4 die Draufsicht auf einen herkdmmiichen, ais Diskette ausgebildeten Daten- 
trager mit integriertem, kontaktbehafleten Sicherheitsmodul. 
" Fig.5 die Draufsicht auf einen als CD-ROM ausgebildeten Datentrager mit inte- 
griertem, kontaktlosen Sicherheitsmodul. 

Die erfindungsgema&e Schutzvorrichtung enthfilt als wesentliche Bestandteite einen 
hybriden Datentrager 4 (Fig.1) und eine hybride Interaktionseinrichtung 5 (Fig.2). Der 
hybride Datentrager 4 besteht im wesentlichen aus einem transportablen und her- 
kommlichen Massenspeicher als Datentrager 1 und aus einem Sicherheitsmodul 2. Der 
Datentrager 1 und der Sicherheitsmodul 2 sind durch eine physikaiische Kopplung 3 
miteinander verbunden. Fur einen Zugriff auf seine Daten kommuniziert der Datentra- 
ger 1 mit der uber eine Schnittstelle 6 an einen Rechner angeschlossenen Interakti- 
onseinrichtung 5 (Fig.3). Dabei wirken der Sicherheitsmodul 2 und die Interaktionsein- 
richtung 5 als Bestandteite der Schutzvorrichtung derart zusammen, daS nur in Abh3n- 
gigkeit eines Austausches von aufeinander abgestimmten Informationen zwischen dem 
Sicherheitsmodul 2 und der Interaktionseinrichtung 5 auf die Daten des Datentragers 1 
und/oder auf die Interaktionseinrichtung 5 in einer fur einen Benutzer auswertbaren 
Form zugreifbar ist. 

Als Datentrager 1 sind samtliche herkdmmiichen Massenspeicher einsetzbar, z.B. eine 
Diskette mit integriertem, kontaktbehafteten Sicherheitsmodul 2 (Fig.4) qder eine CD- 
ROM mit integriertem, kontaktlosen Sicherheitsmodul (Fig.5). 

Die physikaiische Kopplung 3 ist je nach Anwendungsfall fest, schwer lesbar oder lose 
ausgebildet. Der Sicherheitsmodul 2 ist zu seiner physikalischen Kopplung 3 in den 
Datentrager 1 bzw. in dessen Gehause eingelassen, implantiert oder auf den Datentra- 
ger 1 aufgesetzt. Der Sicherheitsmodul 2 kann auch Bestandteil des Datentragers 1 
selbst sein. Die physikaiische Kopplung 3 ist durch eine logische Kopplung zwischen 
Datentrager 1 und Sicherheitsmodul 2 erganzt. Hierzu enthalt der Sicherheitsmodul 2 
einen integrierten Halbieiterschaltkreis bzw. besteht aus einem solchen Halbleiter- 
schaltkreis. 
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Der Sicherheitsmodul 2 enthalt einen Kryptoprozessor bzw. besteht aus einem Krypto- 
prozessor. Die Daten sind dann auf dem Datentrager 1 verschlusselt abgelegt und 
konnen nur im Zusammenwirken mit der daftir vorgesehenen hybriden Interaktionsein- 
richtung 5 genutzt, d.h. in einer fur den Benutzer auswertbaren Form entschliisselt 
werden. Zwar konnen die verschlusselten Daten in der Regel mit einem herkfimmlichen 
Lesegerat fur den jeweiligen Datentrager-Typ ausgeiesen werden, mit dem Inhalt der 
Daten kann aber kein unautorisierter Benutzer etwas anfangen, da durch den Ver- 
schlusselungsschutz die Datennutzung ausgeschlossen ist. 

Die Interaktionseinrichtung 5 weist fur den Datentrager 1 und fur den Sicherheitsmodul 
2 jeweils eine Schreib-/Lese-Einheit auf (Fig.3). Die Schreib-/Lese-Einheiten der Inter- 
aktionseinrichtung kdnnen derart miteinander logisch gekoppelt sein, daS die logische 
Kopplung die Operationen der Schreib-/Lese-Einheiten bestimmt. Die Interaktionsein- 
richtung 5 kann auch derart ausgebildet sein. dafi die logische Kopplung zwischen den 
Schreib-/Lese-Einheiten bei einer unautorisierten softwaremaSigen Oder hardwarema- 
Sigen Manipulation irreversibel zerstort wird. In diesem Fall wirkt die Interaktionseinrich- 
tung 5 ais Sicherheitssystem. In Fig.3 ist die Interaktionseinrichtung 5 als eine einzige 
physikalische Einhert ausgebildet. 

Die Interaktionseinrichtung 5 (siehe Fig. 2) dient - wie bereits gesagt - dazu, mit dem 
Datentrager 1, dem Sicherheitsmodul 2 und mit der Umwelt - z.B. einem Rechner - uber 
die Schnittstellen 6,7,8 zu kommunizieren . Diese Kommunikation kann often oder 
durch den Sicherheitsmodul 2 geschiitzt sein. Die Eigenschaften der Interaktionsein- 
richtung 5 kfinnen frei festgelegt werden, z.B. fur Sicherheitsanwendungen. Die Inter- 
aktionseinrichtung 5 kann ais offenes oder geschlossenes System oder als Sicherheits- 
system ausgefOhrt sein. 



Die Kommunikation uber die Schnittstelle 8 zwischen dem Datentrager 1 und der Inter- 
ne aktionseinrichtung 5 findet auf die datentragerspezifische Weise (optisch, elektroma- 
gnetisch, galvanisch etc.) statt. 

Die Kommunikation uber die Schnittstelle 7 zwischen dem Sicherheitsmodul 2 und sei- 
ner Interaktionseinrichtung 5 findet modulspezifisch (optisch, elektromagnetisch, gal- 
as vanisch etc.) statt. 
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Der Zugriff auf die durch die Daten reprasentierte Information kann nur in Kooperation 
mit der Interaktionseinrichtung 5 erfolgen. Dies kann etwa durch Verschlusselung, PIN- 
Schutz und/oder sichere SchlOsselhaitung im Sicherheitsmodul 2 realisiert sein. 

AuBerdem kann der Informationsgehalt des Datentragers 1 nicht ohne Initialisierung 
des Sicherheitsmoduls 2 rekonstruiert werden. Beispielsweise wird die in Lohnherstel- 
lung bereitgestellte Software verschlusselt auf CD (CD entspricht dem Datentrager 1) 
'gepreSt, die Aktivierung erfolgt zu einem spateren Zeitpunkt durch den Softwareherstel- 
ler selbst. Dadurch wird der zunachst anonyme Datentrager 1 eindeutig identifizierbar 
und die Information wird erst dadurch nutzbar gemacht. 

Dadurch ist man in der Lage, Vertraulichkeit, Authentizrtat, Verbindlichkeit, Originalitat, 
Anonymitat und sonstige Sicherheitsanforderungen zu realisieren. 

Dertypische Fall einer kombinierten Anwendung ist die gegenseitige Authentifikation 
von hybridem Datentrager 4 mit einer Interaktionseinrichtung 5 dadurch, daft zwischen 
der als Sicherheitseinrichtung ausgebildeten Interaktionseinrichtung 5 und dem Sicher- 
heitsmodul 2 auf dem Datentrager 1 Authentifikationsprotokolle ausgefQhrt werden. Zu 
diesem Zweck konnen der Sicherheitsmodul 2 und die Interaktionseinrichtung 5 derart 
ausgebildet sein, daS sie in der Lage sind, Schlussel vertraulich aufzubewahren und 
Daten weiterzuverarbeiten. 

Hierzu ist der Sicherheitsmodul 2 z.B. als Mikrocontroller oder Kryptocontroller ausge- 
bildet. wShrend auf der Seite der Interaktionseinrichtung 5 ein Mikrocontroller, Krypto- 
oder Signalprozessor oder Shnliches eingesetzt wird. Weil auf der Interaktionsseite kei- 
ne Restriktionen hinsichtlich Platz und Leistung bestehen, sind dort der Ausgestaltung 
keine Grenzen gesetzt Die vertraulichen Informationen und Algorithmen konnen Qber 
die Schnittstelle 6 geladen werden oder sind bereits im hybriden Datentrager 4 bzw. im 
Sicherheitsmodul 2 unverandert hinterlegt. 

Kombinationsanwendungen sind (personalisiert und unpersonaiisiert) moglich. Die 
Interaktionseinrichtung 5 kann auch fur die Zusammenarbeit nur mit dafiir speziell kon- 
figurierten Datentragern 4 bestimmt sein. 
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Die Interaktionseinrichtung 5 kann Daten verknupfen, kanalisieren und als Weiche o 
rieren. Dadurch bestimmtdie Interaktionseinrichtung 5 den Umfang des Umformens, 
Auswertens, Schreibens und Lesens der Daten des Datentragers 1. 
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Bezugszeichenliste 



1 


DatentrSger 


2 


Sicherheitsmodul 


3 


physikalische Kopplung 


.4 


hybrider Datentrager 


5 


hybride Interaktionseinrichtung 


6 


Schnittstelle 


7 


Schnittstelle 


8 


Schnittstelle 
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Anspruche 

1 . Vorrichtung zum Schutz 

- eines transportablen Speichermediurns, insbesondere Massenspeichers als Da- 
s tentrager ( 1 ) und/oder 

- einer fur die Datennutzung des Datentragers (1) mit ihm kommunizierenden und 
an eine Datenverarbeitungseinheit, z.B. an ein Rechnersystem anschlieSbaren 
Interaktionseinrichtung (5) 

gegen unerfaubte Nutzung, 
* dadurch gekennzeichnet, 

- daS der Datentrager (1) mit mindestens einem Sicherheitsmodul (2) physikalisch 
gekoppelt (3) ist und 

- daft der Sicherheitsmodul (2) und die Interaktionseinrichtung (5) als Bestandteile 
der Schutzvomchtung zusammenwirken derart, 

is - dafi nur in Abhangigkeit eines Austausches von zugehorigen, aufeinander abge- 
stimmten Informationen zwischen dem Sicherheitsmodul (2) und der Interaktions- 
einrichtung (5) auf den Datentrager (1) und/oder auf die Interaktionseinrichtung (5) 
in einer fur einen Benutzer auswertbaren Form zugreifbar ist. 

20 2. Schutzvomchtung nach Anspruch 1 , 

gekennzeichnet durch 
eine feste oder zumindest schwer losbare physikalische Kopplung (3) zwischen 
Datentrager (1) und Sicherheitsmodul (2). 

25 3. Schutzvomchtung nach Anspruch 1 , 

gekennzeichnet durch 
eine lose physikalische Kopplung (3) zwischen Datentrager (1) und Sicherheitsmo- 
dul (2). 

so 4. Schutzvomchtung nach einem der Anspruche 1-3, 

dadurch gekennzeichnet, 
dafi der Sicherheitsmodul (2) zur physikalischen Kopplung (3) in den Datentrager 
(1) implantiert oder auf den Datentrager (1) aufgesetzt 1st. 
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5. Schutzvorrichtung nach einem Oder mehreren der vorhergehenden Anspruche, 

gekennzeichnet durch 
eine logische Kopplung zwischen Datentrager (1) und Sicherheitsmodui (2). 

6. Schutzvorrichtung nach einem oder mehreren der vorhergehenden Anspruche, 

dadurch gekennzeichnet 
dafi der Sicherheitsmodui (2) einen integrierten Halbleiterschaltkreis enthSIt, insbe- 
sondere aus einem integrierten Halbleiterschaltkreis besteht, wobei dieser Schalt- 
kreis mit der Interaktionseinrichtung (5), insbesondere mit einem in der Interakti- 
onseinrichtung (5) eingebauten integrierten Halbleiterschaltkreis zusammenwirkt. 

7. Schutzvorrichtung nach Anspruch 6, 

dadurch gekennzeichnet, 
dafc der Sicherheitsmodui (2) und/oder die Interaktionseinrichtung (5) einen Krypto- 
prozessor enthalt. 

8. Schutzvorrichtung nach einem oder mehreren der vorhergehenden Anspruche, 

dadurch gekennzeichnet, 
daS die Interaktionseinrichtung (5) jeweils eine Schreib-/Lese-Einheit fur den Daten- 
trager (1) und fur den mindestens einen Sicherheitsmodui (2) aufweist. 

9. Schutzvorrichtung nach Anspruch 8, 

dadurch gekennzeichnet, 

- da& die Schreib-/Lese-Einheiten der Interaktionseinrichtung (5) miteinander lo- 
gisch gekoppelt sind und 

- daS die logische Kopplung die Operationen der Schreib-/Lese-Einheiten bestimmt. 

10. Schutzvorrichtung nach Anspruch 9, 

dadurch gekennzeichnet, 
daS die Interaktionseinrichtung (5) derart ausgebildet ist, daH die logische Kopplung 
bei einer unautorisierten Manipulation irreversibel zerstort wird. 

11. Schutzvorrichtung nach einem der Anspruche 8-10, 

dadurch gekennzeichnet, 
daS die Interaktionseinrichtung (5) eine einzige physikalische Einheit ist. 
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